Spring Security 3.2 Java配置

Question

我遵循Spring Security 3.2文档编写示例应用程序。 http.authorizeRequests（）。anyRequest（）。authenticated（）是否意味着任何请求都拒绝谁没有登录？ 但是我可以访问任何URL。 我缺少一些配置吗？

@Configuration
public class SpringWebMVCApplicationInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {

    @Override
    protected Class<?>[] getRootConfigClasses() {
        return new Class[] { SecurityConfig.class };
    }

    @Override
    protected Class<?>[] getServletConfigClasses() {
        return new Class[] { WebConfig.class };
    }

    @Override
    protected String[] getServletMappings() {
        return new String[] { "/" };
    }

}

springmvc配置

@Configuration
@EnableWebMvc
@ComponentScan("org.jxs.mm.controller")
public class WebConfig extends WebMvcConfigurerAdapter {

    @Override
    public void addResourceHandlers(ResourceHandlerRegistry registry) {
        registry.addResourceHandler("/assets/**").addResourceLocations("/assets/");
        registry.addResourceHandler("/favicon.ico").addResourceLocations("/favicon.ico");
    }

}

春季安全配置

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
        .authorizeRequests()
            .anyRequest().authenticated();
    }
}

Answer 1

您可以授予对不需要身份验证的特定RESTFul Url的访问权限，该关键字不需要使用页面的关键字“ permitAll”和“ hasAnyAuthority”。

           http 
             .formLogin() 
                  .loginPage("/signin") 
                  .loginProcessingUrl("/signin/authenticate") 
                  .failureUrl("/loginfail") 
                  // Grant all access to login url 
                  .permitAll() 
                  .and() 
              .logout() 
                .logoutUrl("/signout") 
                .logoutSuccessUrl("/signin") 
                .and() 
                .authorizeRequests() 
                    .antMatchers("/foo/**").permitAll() //No authentication required 
                    .antMatchers("/").hasAnyAuthority("ROLE_USER","ROLE_ADMIN") //Authentication required (access granted to users with role "ROLE_USER" or "ROLE_ADMIN")

      } 

Answer 2

您可能尚未向war注册您的springSecurityFilterChain。 请参阅Spring Security 文档中的 3.1.1节

总结一下：

SecurityConfig类定义您的Spring Security配置。 它配置springSecurityFilterChain过滤器。

但是，此过滤器链需要应用到您的应用程序中的所有URL或向其注册（或与之关联）（以便URL被springSecurityFilterChain拦截）。 这可以通过扩展AbstractSecurityWebApplicationInitializer来完成，如下所示：

import org.springframework.security.web.context.*;

public class SecurityWebApplicationInitializer
      extends AbstractSecurityWebApplicationInitializer {

}

之后，Spring Security应该拦截任何URL并按照配置应用适当的安全规则。